cplt

面向 AI 编码代理的内核级沙箱。 cplt 封装 GitHub Copilot CLI、OpenCode、Gemini CLI、Antigravity CLI、Pi、Claude Code、goose、DeepSeek Harness 或任意 shell，使代理可以编写代码，但无法窃取凭据、推送到 main、合并 PR 或外泄机密。

• macOS：通过 sandbox-exec 使用 Apple Seatbelt/SBPL
• Linux：Landlock LSM + seccomp-BPF + 可选的 Bubblewrap 命名空间隔离（内核 5.13+，6.7+ 支持完整网络过滤）
• Windows：无原生支持。没有 Windows 沙箱后端。请在 WSL2 中运行 cplt，在那里它就是一个普通的 Linux 安装，且 Microsoft 内核自带 Landlock。参见 Windows (WSL2) 设置。

为什么选择 cplt？

AI 代理会执行任意代码。一个被攻陷的代理——无论是通过提示注入、供应链攻击还是恶意 MCP 服务器——都可以读取 ~/.ssh、推送到 main、合并 PR 或外泄你的代码，除非操作系统本身加以阻止。

cplt 为你提供内核级强制执行和团队可配置的策略：

• 在 .cplt.toml 中按仓库配置策略，并提交到版本控制，因此防篡改且可审计
• 默认拒绝访问凭据、机密和敏感文件
• 命令级 git 和 gh 拦截：阻止推送到默认分支、强制推送、合并和发布，功能分支保持开放
• 带审计日志的出站网络过滤
• 无需 Docker，无需虚拟机。一个二进制文件即可在锁定加固的笔记本电脑上运行
• 面向开发者零配置启动，当构建确实需要时提供逃生通道

目录

• 快速开始
• 它阻止什么
• cplt 对比
• 安装
• 用法
• 配置
• 架构
• 安全
• 网络与代理
• 命令防护
• 已知影响
• 限制
• 贡献
• 参考资料

详细文档： 配置 · 代理与域名过滤 · gh 命令防护 · git 命令防护 · 已知影响 · 安全细节 · 安全模型

快速开始

brew install navikt/tap/cplt   # macOS. On Debian or Ubuntu, see apt below
cplt --shell-install        # make 'copilot' run sandboxed (persistent)
                            # --agent opencode for any other agent
cplt doctor                 # check your environment
cplt -- -p "fix the tests"  # run Copilot in sandbox

其他代理和沙箱命令：

cplt --agent opencode                       # OpenCode (Copilot subscription)
cplt --agent opencode --pass-env ANTHROPIC_API_KEY  # third-party provider
cplt --agent shell                          # interactive sandboxed shell (no AI)
cplt exec -- npm install                    # sandbox any command directly
cplt exec -c "npm install && npm test"      # compound commands in sandbox
alias npm="cplt exec -- npm"               # sandboxed npm for every invocation

团队推广

# 1. Generate per-repo policy
cplt init --write

# 2. Developers approve on first run
cplt trust accept --all

# 3. Tune the command guards (both block by default)
cplt config set git_guard.protect_default_branch_only false # block every push, not just main
cplt config set git_guard.mode warn                         # observe instead of blocking

它阻止什么

沙箱在内核中阻止对凭据和密钥的访问。命令守卫阻止破坏性操作。每项限制都适用于 agent 及其生成的每个进程。